| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 5.7 | $25k-$100k | 0.00 |
Zusammenfassung
Es wurde eine kritische Schwachstelle in Microsoft Internet Explorer 11 gefunden. Dabei geht es um eine nicht genauer bekannte Funktion. Durch das Manipulieren mit unbekannten Daten kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Der Angriff lässt sich über das Netzwerk starten. Darüber hinaus steht ein Exploit zur Verfügung.
Details
Es wurde eine Schwachstelle in Microsoft Internet Explorer 11 (Web Browser) gefunden. Sie wurde als kritisch eingestuft. Hiervon betroffen ist ein unbekannter Codeblock. Mit der Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-119 vorgenommen. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit.
Eingeführt wurde der Fehler am 26.06.2013. Die Schwachstelle wurde am 14.03.2014 durch Abdul Aziz Hariri von Zero Day Initiative (ZDI) als Pwn2Own results for Thursday (Day Two) in Form eines nicht definierten Blog Posts (pwn2own) publik gemacht. Auf pwn2own.com kann das Advisory eingesehen werden. Im Advisory ist nachzulesen:
The second and final day of Pwn2Own 2014 saw successful attempts by seven entrants against five products, with $450,000 paid to researchers. This brings the two-day payout total to $850,000, not including charitable donations or the value of the laptops, ZDI points, and other prizes given to winning researchers.Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind zwar keine technische Details, jedoch ein Exploit zur Schwachstelle bekannt. Als Preis für einen Exploit ist zur Zeit ungefähr mit USD $25k-$100k zu rechnen (Preisberechnung vom 07.04.2017). Es kann davon ausgegangen werden, dass sich die Exploit-Preise für dieses Produkt in Zukunft fallend verhalten werden.Er wird als proof-of-concept gehandelt. Insgesamt wurde die Schwachstelle mindestens 261 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $25k-$100k auf dem Schwarzmarkt.
Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.
Unter anderem wird der Fehler auch in den Datenbanken von X-Force (92680) und SecurityFocus (BID 63728†) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter VDB-12721, VDB-13024, VDB-13025 und VDB-13027. If you want to get best quality of vulnerability data, you may have to visit VulDB.
Produkt
Typ
Hersteller
Name
Version
Lizenz
Support
Webseite
- Hersteller: https://www.microsoft.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 6.3VulDB Meta Temp Score: 5.7
VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
Exploiting
Klasse: PufferüberlaufCWE: CWE-119
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Proof-of-Concept
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: keine Massnahme bekanntStatus: 🔍
0-Day Time: 🔍
Timeline
26.06.2013 🔍14.11.2013 🔍
14.03.2014 🔍
23.04.2014 🔍
07.04.2017 🔍
Quellen
Hersteller: microsoft.comAdvisory: Pwn2Own results for Thursday (Day Two)
Person: Abdul Aziz Hariri
Firma: Zero Day Initiative (ZDI)
Status: Nicht definiert
GCVE (VulDB): GCVE-100-13026
X-Force: 92680 - Microsoft Internet Explorer usnpecified code execution, High Risk
SecurityFocus: 63728 - Microsoft Internet Explorer Unspecified Remote Code Execution Vulnerability
scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍
Eintrag
Erstellt: 23.04.2014 12:07Aktualisierung: 07.04.2017 12:05
Anpassungen: 23.04.2014 12:07 (45), 07.04.2017 12:05 (9)
Komplett: 🔍
Cache ID: 216::103
If you want to get best quality of vulnerability data, you may have to visit VulDB.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.